Přeskočit na hlavní obsah

BEZPEČNOSTNÍ POLITIKA A POLITIKA OCHRANY OSOBNÍCH ÚDAJŮ

Cloud IS, s.r.o. — Interní dokument​

Vydal: Cloud IS, s.r.o. Platnost od: 14. 3. 2026 | Verze: 1.0 Závazná pro: všechny osoby s přístupem k systémům nebo datům Cloud IS s.r.o.

Interní dokument — nepublikovat. Revidovat minimálně 1× ročně nebo po bezpečnostním incidentu.

1. ÚČEL A ROZSAH​

Tento dokument stanovuje závazná pravidla pro ochranu osobních údajů a bezpečnost informačních systémů Cloud IS, s.r.o. (dále jen „Společnost") v souladu s čl. 24, 25 a 32 GDPR.

Vztahuje se na: zaměstnance, spolupracovníky a subdodavatele Společnosti s přístupem k systémům nebo datům zákazníků.

2. ZÁSADY ZPRACOVÁNÍ DAT (Privacy by Design)​

2.1 Minimalizace dat — shromažďujeme pouze osobní údaje nezbytné pro daný účel. Nová funkce v systému nesmí bez odůvodnění sbírat nové kategorie osobních údajů.

2.2 Účelové omezení — data zákazníků nesmějí být použita k jiným účelům než k provozu Služby. Zejména je zakázáno:

  • použít data zákazníků k trénování AI modelů,
  • exportovat nebo sdílet data zákazníků mimo systém bez jejich pokynu,
  • využívat obsah zpracovávaný přes OpenAI API k jiným účelům než OCR/AI deník.

2.3 Přesnost — zákazníci mají v aplikaci možnost svá data kdykoli opravit.

2.4 Omezení uložení — data jsou mazána dle dob uchování uvedených v ROPA.

3. ŘÍZENÍ PŘÍSTUPU​

3.1 Přístup k produkčním datům zákazníků je povolen výhradně za účelem:

  • řešení technického problému zákazníka,
  • bezpečnostního incidentu,
  • zákonné povinnosti.

3.2 Přístup do produkční databáze je vyhrazen pouze osobám, pro které je to nezbytně nutné (least privilege). Přihlašovací údaje k databázi nejsou sdíleny přes nezabezpečené kanály (e-mail, chat).

3.3 Přístup k administrátorskému rozhraní systému eProtokol je chráněn silným heslem a doporučena dvoufaktorová autentizace.

3.4 Přihlašovací údaje k subdodavatelům (Vercel, DigitalOcean, OpenAI, Resend) jsou uloženy bezpečně (password manager) a nesdíleny přes nezabezpečené kanály.

4. SPRÁVA PŘIHLAŠOVACÍCH ÚDAJŮ A HESEL​

4.1 Hesla k produkčním systémům musí splňovat:

  • minimálně 12 znaků,
  • kombinaci velkých písmen, malých písmen, číslic a speciálních znaků,
  • nesmí být opakována z posledních 5 hesel.

4.2 Sdílení hesel přes e-mail, SMS nebo nezabezpečený chat je zakázáno.

4.3 Citlivé proměnné prostředí (.env) nesmějí být commitovány do repozitáře. Produkční klíče jsou uloženy ve Vercel Environment Variables.

4.4 Při podezření na kompromitaci přihlašovacích údajů je nutné okamžitě:

  • změnit heslo,
  • invalidovat aktivní session tokeny,
  • informovat ostatní členy týmu.

5. VÝVOJ A BEZPEČNOST KÓDU​

5.1 Zdrojový kód je verzovaný v privátním Git repozitáři. Přístup je omezen na oprávněné vývojáře.

5.2 Do produkčního kódu nesmějí být commitovány:

  • API klíče, hesla, tokeny (.env soubory),
  • osobní údaje zákazníků (test data musí být anonymizovaná),
  • přihlašovací údaje k databázím.

5.3 Před nasazením nové funkce zpracovávající osobní údaje je nutné zvážit:

  • zda zpracování má právní základ,
  • zda jsou sbírána pouze nezbytná data (privacy by design),
  • zda jsou data šifrována při přenosu i uložení.

5.4 Vstupní data od uživatelů jsou validována a sanitizována před zpracováním (prevence SQL injection, XSS).

5.5 Produkční deployment probíhá přes Vercel s automatickým HTTPS. Přímý přístup k produkčním serverům je omezen.

6. ZÁLOHY A OBNOVA DAT​

6.1 Databáze zákazníků je zálohována automaticky DigitalOcean Managed Database (denní zálohy, retence 7 dní).

6.2 Soubory zákazníků jsou uloženy na DigitalOcean Spaces (Frankfurt) s redundantním uložením.

6.3 Postup obnovy ze zálohy je testován minimálně 1× ročně.

6.4 Zálohy jsou chráněny stejnými bezpečnostními opatřeními jako produkční data.

7. INCIDENT RESPONSE — POSTUP PŘI BEZPEČNOSTNÍM INCIDENTU​

7.1 Definice incidentu​

Bezpečnostní incident je jakákoliv událost, která vede nebo může vést k:

  • neoprávněnému přístupu k osobním údajům zákazníků,
  • ztrátě, zničení nebo pozměnění osobních údajů,
  • úniku dat mimo systém.

7.2 Postup při incidentu​

Krok 1 — Detekce a izolace (do 2 hodin)

  • Identifikovat rozsah incidentu (která data, kolik zákazníků)
  • Izolovat postižené systémy (deaktivovat přístupy, vypnout napadenou komponentu)
  • Dokumentovat zjištěné skutečnosti s časovými razítky

Krok 2 — Interní oznámení (do 4 hodin)

  • Informovat všechny členy týmu
  • Rozhodnout o dalším postupu

Krok 3 — Oznámení zákazníkům (do 48 hodin)

  • Informovat dotčené zákazníky e-mailem dle DPA čl. 7
  • Obsah oznámení: povaha incidentu, dotčená data, přijatá opatření

Krok 4 — Hlášení ÚOOÚ (do 72 hodin od zjištění)

  • Povinné, pokud incident pravděpodobně povede k riziku pro práva a svobody fyzických osob
  • Hlášení přes portál ÚOOÚ: www.uoou.cz
  • Výjimka: pokud je nepravděpodobné, že incident povede k riziku — zdokumentovat odůvodnění

Krok 5 — Náprava a ponaučení

  • Odstranit příčinu incidentu
  • Zdokumentovat incident, přijatá opatření a ponaučení
  • Aktualizovat bezpečnostní politiku pokud je to relevantní

7.3 Dokumentace incidentů​

Každý incident je zaznamenán interně s: datem, popisem, rozsahem, přijatými opatřeními a výsledkem. Záznamy uchovávány minimálně 3 roky.

8. ONBOARDING A OFFBOARDING OSOB S PŘÍSTUPEM K DATŮM​

Onboarding:

  • Nový člen týmu / spolupracovník je seznámen s touto bezpečnostní politikou před udělením přístupu
  • Přístup je udělen pouze v nezbytném rozsahu (least privilege)
  • Potvrzení seznámení s politikou je zdokumentováno

Offboarding:

  • Při ukončení spolupráce jsou okamžitě odebrány veškeré přístupy (Vercel, DigitalOcean, GitHub, OpenAI, Resend)
  • Změněna hesla ke sdíleným účtům
  • Zkontrolováno, že odcházející osoba nemá kopie dat zákazníků

9. PŘEHLED AKČNÍCH BODŮ (k dořešení)​

#Akční bodPrioritaTermín
1Implementovat Sentry pro error monitoringVysokáVlna 1
2Implementovat cookie consent banner (Meta Pixel + Twitter běží bez souhlasu)KritickáVlna 1
3Bezpečnostní audit kódu (OWASP top 10)StředníVlna 4
4Zdokumentovat password management nástroj (1Password, Bitwarden)StředníIhned
5Otestovat obnovu ze zálohyStředníDo 3 měsíců
6Uzavřít DPA s DigitalOcean, Vercel, OpenAI, Resend (podpis)VysokáVlna 1

Cloud IS, s.r.o. | Interní dokument | Verze 1.0 | 14. 3. 2026 Revidovat: minimálně 1× ročně nebo po bezpečnostním incidentu